地政学的観点からも求められたリスク対応施策

経済安全保障を主な目的として2025年5月に成立した「サイバー対処能力強化法及び同整備法」（以下、強化法）が、2026年10月1日から本格施行される。強化法はエネルギーや交通、通信など15の基幹インフラ事業者（約260社）を主な対象とした法律だが、その影響範囲はサプライチェーンからシステム開発を担うITベンダーまで多岐に及ぶ。

まずは、あらためて強化法の概要を整理しておきたい。成立の背景にあるのは、近年の国際状況下で日本が直面している経済安全保障に関する懸念である。軍事行動に先立ち、重要施設へのサイバー攻撃が図られることは既に一般化しつつある。マルウェアの目的がランサムウェアに代表されるデータ窃取や暗号化であるのに対し、軍事作戦の一環として行われるサイバー攻撃には、システムの破壊までを視野に入れて行われることが一般的だ。データ窃取や暗号化を直接の目的にしない攻撃には、検知の困難さが伴う。

経済産業省が具体例として挙げるのは、2023年に発覚した中国系ハッカー集団「Volt Typhoon」によるグアムの米軍施設、米国政府施設への攻撃である。Volt Typhoonによるシステムへの侵入では、脆弱なパスワードやセキュリティホール更新が行われていないルーターやWebカメラなどの周辺機器がターゲットになるが、注目すべきは、その後の行動である。彼らの攻撃はマルウェアを用いず、正規アカウントに寄生し、システム内の正当なツールを悪用する。侵入に成功した後も表立った行動がないため、既存セキュリティツールによる発見は難しい。

経済安全保障におけるサイバーセキュリティ対策の重要性は、太平洋を巡るインターネットインフラの地政学的特徴からも説明できる。北米とアジア諸国のインターネット回線は海底ケーブルによって担われるが、グアム・オセオニアを経由する一部回線を除くと、回線の大部分は日本国内のインターネット接続ポイントが重要なハブとして機能する。

後に触れることになるが、通信内容の傍受対象に国内と海外の通信だけでなく、海外と海外の通信（外外通信）まで含まれる背景には、こうした地政学的な事情があり、欧米主要国の取り組みに準じる安全保障施策として整備されたのが強化法である。

警察や自衛隊によるカウンター攻撃も可能に

強化法の対象となる基幹インフラ事業者は、電気・ガス・石油など15事業に関連する約260社。その保護を目的とした同法の骨子は、「官民連携の強化」「通信情報の利用」「アクセス・無害化措置」の大きく三つに分けられる。

「官民連携の強化」においてまず注目したいのは、特定重要計算機の導入やインシデント発生に応じ、所轄官庁への報告が求められるようになった点だ。

次に「通信情報の利用」では、事業者との合意に基づく通信情報の取得に加え、独立機関の承認を受ければ、外内通信、内外通信、外外通信の取得が可能になった。なお、取得に際しては、例えばメールの場合、IPアドレスや攻撃者の指示内容に関係しないメール本文などのデータは即座に消去することが義務付けられている。

サイバー攻撃の拠点に対し、「アクセス・無害化措置」が行えるようになったことも重要なポイントである。具体的には、攻撃側拠点にインストールされたマルウェアの停止や削除、感染端末の通信遮断などが、独立機関の承認のもとで実行できるようになった。

次に見ていきたいのが、強化法の対象となる基幹インフラ事業者に求められる対応である。具体的な対応の指針となるのが、「官民連携の強化」の中に含まれる以下の3制度である。

●資産届出制度
基幹インフラ事業者は今後、特定重要電子計算機の導入・変更時に製品名などの届出が必要になる。ここでまず整理しておきたいのが、「特定重要電子計算機」という言葉で総称する対象機器・ソフトウェア・サービスの範囲である。強化法では、特定重要電子計算機を「セキュリティ侵害が起こった場合に特定重要設備の機能の停止や低下をもたらす機器」と定義する。特定重要設備とは、強化法に先立ち2022年5月に成立した経済安全保障推進法（経済安保法）で規定された、国民生活の基盤となる重要設備を指す用語。経済安保法は強化法の15分野と医療分野を対象としており、具体的には発電設備・送変電設備（電力）、導管・供給設備（ガス）、浄水場・配水設備（水道）、運行管理システム・信号設備（鉄道）、航空管制システム（航空）、交換機・基地局・光ファイバー網（通信）、決済システム・勘定系システム（金融）など、基幹インフラ事業者の業務に不可欠な設備が該当する。

次に注目したいのが、「特定重要設備の機能の停止や低下をもたらす機器」の考え方である。それは大きく三つに分けて考えると理解しやすい。

まず挙げられるのが、電力会社の発電設備の制御装置や鉄道会社の運航管理用サーバーなど、特定重要設備の一部として機能する機器。次に、それらの機器と直接・間接的につながる機器全般である。具体的には、ファイアウォールやVPN装置、DMZ機器、特定重要機器へのアクセスを制御するADサーバーなどの認証システム、運用に不可欠な重要データを保存するファイルサーバーなどのほか、クラウド基盤上のSaaSなどが含まれる。最後がクラウドやUSBメモリーなどの物理メディアを介して特定重要設備にデータ（電磁的記録）を入力できる端末全般である。

SaaSなどの基盤を共有し、入力が可能になるグループ会社の環境や端末も資産届出の対象になる点にも注目が必要だろう。同様に、特定重要機器の本番システムに実行モジュールを送信可能なITベンダーの開発環境、開発者の持ち出し端末なども含まれる。

今後、基幹インフラ事業者は、上記の特定重要電子計算機の導入時または変更時に、機器やソフトウェアの製品名と製造者名、クラウドサービスのサービス名とベンダー名を届け出ることが義務付けられる。届出義務に違反した場合、所管大臣からの是正命令が発出され、これに従わなければ最大200万円の罰金が科される。機器・ソフトウェアなどの納品事業者は、強化法の直接的な対象には該当しないが、届出に必要な製品名・製造者名、サービス名・ベンダー名、バージョン情報などを正しく提供しなければならない。

強化法（官民連携部分）の施行は2026年10月1日だが、初回の資産届出の期限は6カ月後の2027年4月1日（想定）で、以降は導入・変更のたびに届出を行う。届け出た特定重要電子計算機については、政府から脆弱性などの情報が提供されると考えられ、その都度、迅速な対応が求められることになる。

●インシデント報告制度
基幹インフラ事業者は不正アクセスなどにより、特定重要電子計算機のセキュリティが侵害されたときや、その要因となり得る事象を認知したときは、これを報告しなければならない。

具体的には特定重要電子計算機へのマルウェアの実行、アカウントなりすましや認証情報の窃取による不正アクセス、DDoS攻撃による業務妨害などが該当するほか、特定重要設備についてはマルウェアの受信、不正アクセスの試行、認証情報の窃取などもインシデント対象に含まれる見通しである。

報告事項としては、攻撃を受けたシステム構成図や時系列による説明のほか、攻撃元のIPアドレス・ポート、関連するURLドメイン、マルウェアに関する技術情報などのIoC（被害の痕跡）、攻撃の手口・侵入経路に関する詳細な情報が含まれる。

インシデントが確認された場合、事象の発生を速やかに報告する「速報」と、サイバー攻撃や被害の全容を整理した「詳報」の2回の報告が想定されている。報告期限に関しては、「①すみやかに速報」「②30日以内の詳報」の提出が9月時点の案として示されている。また、資産届出制度で報告された、クラウド基盤を共有するグループ会社や業務委託先のシステムが侵害された場合も報告の対象になる。

資産届出制度と同様、基幹インフラ事業者がインシデント報告などを行わず、是正命令を受けてもなお対応しない場合は200万円以下の罰金が科される。

●協議会制度
サイバー攻撃による被害の防止を目的とした協議会が設置され、あらかじめ合意した基幹インフラ事業者の担当者が「構成員」として参加する。構成員は守秘義務を伴う被害防止に資する情報共有のほか、正当な理由がある場合を除いて資料提出の要求にも応じなければならない、とされている。

守秘義務を伴う情報共有の関係から、構成員は2025年に施行されたセキュリティ・クリアランス制度の対象になるとみられている。同制度は、政府が安全保障上の重要情報にアクセスする人の信頼性を事前に調査・確認し、資格を付与する仕組みである。